Netzwerkteilnehmer richtig blockieren / einspuren

jathagrimon

Hallo zusammen

Ich betreibe eine pfSense (aktueller Stand) und nutze mehrere bis zu 4 VLANs in Verbindung mit managed Switches.

Es soll gewährleistet sein, dass ein User (Gerät) sich ausschliesslich in dem "richtigen" Netz befinden kann.
Auch soll es verhindert werden dass ein solcher User einfach durch anschliessen eines LAN-Kabels an einem Switch das Netzwerk wechseln kann.

Bisher war ich von einem MAC-Filter als Lösung ausgegangen. Das scheint mir doch aber sehr unsicher, da man die MAC ja auch ändern könnte oder ein neues Gerät wäre vom Filter nicht berücksichtigt.

Demnach sehe ich hier eigentlich nur die Lösung einer MAC-WhiteList, was sehr zum Leidwesen von spontanen Besuchern mit Wunsch nach WLAN ist.

Frage 1: Wo und wie könnte ich das mit moderatem Aufwand realisieren?

Frage 2: Seht ihr eine bessere Lösung mit ebenso moderatem Aufwand und mehr Vorteilen?

PS: Es laufen auch Pakete wie pfBlockerNG, RadiusServer, HAProxy, OpenVpn, usw. auf dieser Instanz

Vielen Dank für Eure Hilfe

the other

@jathagrimon said in Netzwerkteilnehmer richtig blockieren / einspuren:

PS: Es laufen auch Pakete wie pfBlockerNG, RadiusServer, HAProxy, OpenVpn, usw. auf dieser Instanz

Moinsen,
wenn das läuft, dann lass es doch FreeRADIUS regeln, dass da keiner in fremden VLANs rumturnt.
Ggf. können die switche das auch? Schau mal:
https://en.wikipedia.org/wiki/RADIUS
https://www.security-insider.de/wie-funktioniert-radius-a-613266/

Wenn das Paket also eh läuft, dann lass alles gegen die im FreeRADIUS Server hinterlegten Angaben prüfen, bei der Authentifizierung wird dann ins vorgegebene VLAN einsortiert.

jathagrimon

@the-other
Danke für die rasche Rückmeldung.

Muss bei Verwendung eines Radius dann jeder User im Netzwerk einen Login vornehmen?
Das wäre irgendwie ein K.O.-Kriterium. Wer will sich schon extra anmelden wenn er ins Internet will.

Ich habe einen Mix aus Windows-Geräten, Android-Smartphones und MultimediGeräten wie TVs oder Sonos-Speaker. Es wird keine Windows-Domäne benutzt aber mehrheitlich fixe IPs.

Sollte das über die MAC-Filter im FreeRADIUS laufen?
Gibt es irgendwo ein HowTo oder nach welchen Schlagworten sollte ich suchen?

freundliche Grüsse

the other

@jathagrimon
Im deutschsprachigen Raum empfehle ich mal so administrator.de für die Profiadmins, für den Heimgebrauch eher forum.heimnetz.de...da gibt es viele gute Tutorials. ZB:
https://administrator.de/t/sicherheit/?search=freeradius&filter=tutorials

Du kannst zB so einfachen IoT Geräten die Auth per MAC einrichten (was jetzt nicht so der Brüller ist, da kommst du ja her). Andere können sich auch per Zertifikat anmelden...
Lies dich einfach mal durch. :)

Wenn das alles zu komplex sein sollte: alle switche in kleine abschließbare Netzwerkschränke (10 Zoll) und gut ist. Dazu den Trunk zwischen den switches so einrichten, dass hier keiner rankommt. Wäre die einfache Lösung ohne komplexes Radius Getue...kommt aber eben immer auf deine Bedürfnisse an bzgl. Sicherheit vs Bequemlichkeit. ;)

Dobby_

@jathagrimon

Ich betreibe eine pfSense (aktueller Stand) und nutze mehrere bis zu 4 VLANs in Verbindung mit managed Switches.

Was für Funktionen sind denn an den Switchen vorhanden?

Radius Auth. für mehrere Benutzer per Port?
VLAN per Port?
Layer3?

Es soll gewährleistet sein, dass ein User (Gerät) sich ausschliesslich in
dem "richtigen" Netz befinden kann.

Das kann man mittels RadiusServer und Zertifikaten machen, im Zertifikat steht dann auch das VLAN eingetragen, egal womit und worüber sich das Gerät
verbindet es landet dann immer in dem VLAN was in dem Zertifikat eingetragen wurde.

Wehrmutstropfen, wenn man ein Gerät hat was in einem anderen VLAN
vorhanden ist und "man" wartet darauf dass es sich angemeldet hat und
man stöpselt man ein anderes Gerät ein, so ist das dann eben wieder in
einem anderen VLAN vorhanden. (Ein Switch mit VLAN per Port kann das verhindern)

Und wenn es sich um ein WLAN Gerät handelt oder aber das Gerät auch
WLAN fähig ist, wie zum Beispiel ein Laptop mit WLAN, dann kann man
sich auch am WLAN AP anmelden und umgeht wieder VLAN-Zwang
(Ein Switch mehrfach Radius Auth. per Switchport kann das verhindern)

Auch soll es verhindert werden dass ein solcher User einfach durch anschliessen eines LAN-Kabels an einem Switch das Netzwerk wechseln kann.

RaspBerry PI 4/5 mit 4/8 GB

LDAP Server
Radius Server mit Zertifikaten
Layer 3 Switch mit VLANs, mehrfach Radius Auth. und VLAN per Port

Damit ist das alles dann kein Problem mehr, der Radius Server ist für die
WLAN Geräte zuständig und der LDAP Server ist für die Kabel gebundenen
Geräte zuständig. Man kann das auch alles mit dem Radius Server machen
nur wenn dann noch Zertifikate und Verschlüsselung mit ins Spiel kommen
haut Dir das auch wieder einen ordentlichen "Schlag" auf´s Kabel! Also
will sagen, der Switch sollte dann schon etwas kräftiger sein.

Bisher war ich von einem MAC-Filter als Lösung ausgegangen. Das scheint mir doch aber sehr unsicher, da man die MAC ja auch ändern könnte oder ein neues Gerät wäre vom Filter nicht berücksichtigt.

Wenn es um Deine oder generell um Kinder gehen sollte, würde ich den
MAC Filter wenn überhaupt zusätzlich mit ins Spiel bringen wollen aber
nicht alleine!

Demnach sehe ich hier eigentlich nur die Lösung einer MAC-WhiteList, was sehr zum Leidwesen von spontanen Besuchern mit Wunsch nach WLAN ist.

Die spontanen Besucher können dann aber in ein Gäaste WLAN oder
VLAN reingepackt werden.

Frage 1: Wo und wie könnte ich das mit moderatem Aufwand realisieren?

Ein RaspBerry PI ist nicht soooo teuer und mit OpenLDAP und DaloRadius
ist das jetzt auch nichts mehr was etwas kostet oder keine Dokumentation
vorhanden ist.

Frage 2: Seht ihr eine bessere Lösung mit ebenso moderatem Aufwand und mehr Vorteilen?

Besser als mit dem Radius Server mit Zertifikaten und dem LDAP Server
zusammen mit einem Layer3 Switch fällt mir da auch nicht ein. Das ist
das Sicherheitsniveau von kleinen und mittleren Betrieben.

PS: Es laufen auch Pakete wie pfBlockerNG, RadiusServer, HAProxy, OpenVpn, usw. auf dieser Instanz

Ok sollte doch dann kein Problem sein, ein RaspBerry PI "nur" mit OpenLDAP
Server sollte für 30 € bis 50 € zu haben sein. (eBay) Und ein Layer 3 Switch
muss jetzt nicht ein 5000 € Geräte sein, nur die oben genannten Merkmale
sollte schon mit bringen.

P.S. Alle Switchports die nicht genutzt werden sollten einfach abgemeldet
werden, also deaktiviert werden!

jathagrimon

@Dobby_

Danke für die Ausführung und die tollen Ideen. Das ist mir aber mitunter zuviel des Guten (wobei ein Pi sicher noch rumliegt).
Aber wie gesagt will ich es eher einfach halten und nicht Technik-Stapelei ;-)

@the-other

Switches abschliessen ist leider auch nicht möglich.
Als Switches habe ich "leider" die Netgear Modelle GS108Ev3, GS108Ev2, GS308E, GS105v3
(die ersten 3 sind managed und der letzte unmanaged)
Bei denen habe ich die Ports (802.1Q) je nach Nutzung mit tagged oder auch untagged und 1 oder mehreren VLANS gemappt (Wenn halt am SwitchPort 2 ein AP angeschlossen ist braucht der AP ja alle Pakete um mehrere WLAN-SSIDs bereitstellen zu können.

Was wäre denn mit statischen ARP Einträgen?
Da habe ich folgendes gelesen:
"Kann verwendet werden, um einzuschränken, wer mit pfsense kommunizieren kann, indem nur die Kommunikation mit IPs zugelassen wird, die über statische ARP-Einträge verfügen.
Nachteile wären, dass die IP an diese Mac gebunden ist – ein anderes Gerät könnte diese IP nicht verwenden oder dieses Gerät könnte keine andere IP verwenden."

PS: Ich verstehe nicht weshalb manche Geräte keinen Hostnamen liefern. Hat nicht jedes Gerät einen Namen?

Wünsche einen schönen Abend.